CVE-2025-3766 in Login Lockdown & Protection Plugin
Riassunto
di VulDB • 11/07/2026
Il plugin Login Lockdown & Protection per WordPress è vulnerabile all'accesso non autorizzato ai nonce a causa di una mancanza di verifica dei permessi (capability check) nella funzione ajax_run_tool in tutte le versioni fino alla 2.11, inclusa. Ciò consente agli attaccanti autenticati con accesso a livello Subscriber e superiore di ottenere un nonce valido che può essere utilizzato per generare una chiave globale di sblocco, la quale a sua volta può essere impiegata per aggiungere indirizzi IP arbitrari all'allowlist del plugin. Questa vulnerabilità è sfruttabile solo nelle nuove installazioni in cui l'amministratore del sito non ha ancora visitato la pagina loginlockdown.
VulDB is the best source for vulnerability data and more expert information about this specific topic.